Data Loss Prevention (DLP) hilft Unternehmen, sensible Informationen vor unbefugtem Abfluss zu schützen. Damit der Einsatz von DLP mit dem Datenschutz vereinbar ist, müssen Unternehmen technische Kontrollen, organisatorische Regeln und den Beschäftigtendatenschutz von Beginn an zusammenführen. Entscheidend sind ein klarer Zweck, eine verhältnismäßige Konfiguration und transparente Prozesse.
Warum ist Data Loss Prevention datenschutzrelevant?
DLP bezeichnet Systeme zur Erkennung, Kontrolle und Verhinderung unzulässiger Datenübertragungen. Sie können beispielsweise verhindern, dass personenbezogene Daten per E-Mail an externe Empfänger gesendet, vertrauliche Dateien in nicht freigegebene Cloud-Dienste hochgeladen oder geschäftliche Dokumente auf USB-Speicher kopiert werden.
DLP kann dabei Inhalte, Metadaten und technische Ereignisse verarbeiten. Abhängig von der Konfiguration erkennt das System etwa Kreditkartennummern, Kundenlisten, Personalunterlagen, Vertragsdokumente oder vertraulich klassifizierte Dateien. Es kann Warnhinweise anzeigen, Übertragungen blockieren, Sicherheitsalarme auslösen und Vorgänge protokollieren.
Genau hier liegt die datenschutzrechtliche Relevanz. Das System verarbeitet häufig personenbezogene Daten von Beschäftigten. Es kann nachvollziehbar machen, wer zu welchem Zeitpunkt welche Datei weitergeben wollte, welche Empfängeradresse verwendet wurde oder welcher technische Vorgang einen Alarm ausgelöst hat. Werden diese Informationen einer Person zugeordnet und ausgewertet, ist neben dem allgemeinen Datenschutz, insbesondere der Beschäftigtendatenschutz berührt.
Ein datenschutzkonformer Einsatz setzt deshalb voraus, dass Unternehmen nicht lediglich die technische Funktionsfähigkeit bewerten. Sie müssen auch beurteilen, welche Daten verarbeitet werden, welche Auswirkungen die Verarbeitung auf Beschäftigte hat und ob der Einsatz wirklich erforderlich ist.
Wie wird Data Loss Prevention datenschutzkonform geplant?
Der datenschutzkonforme Einsatz von DLP-Systemen beginnt vor der Beschaffung und technischen Einführung. Zunächst sollte das Unternehmen das konkrete Schutzproblem beschreiben. Ein allgemeines Ziel wie „Schutz vor Datenverlust“ reicht gewöhnlich nicht aus. Erforderlich ist eine nachvollziehbare Risikobetrachtung.
Mögliche Szenarien können sein:
- Fehlversand personenbezogener Daten an falsche E-Mail-Empfänger
- Upload vertraulicher Dokumente in nicht freigegebene Cloud-Speicher
- Übertragung von Geschäftsgeheimnissen auf private Datenträger
- Datenabfluss nach der Kompromittierung eines Benutzerkontos
Ausgehend von den Risiken sollte das Unternehmen festlegen, welche Datenquellen tatsächlich überwacht werden müssen. Dabei gilt der Grundsatz der Datenminimierung. Eine vollständige, dauerhafte Analyse sämtlicher E-Mail-Inhalte oder Dateiaktivitäten ist regelmäßig schwerer zu rechtfertigen als eine gezielte Kontrolle besonders risikoreicher Übertragungen.
Datenschutzfreundlich ist eine Konzeption, die möglichst früh ansetzt. Ein System kann beispielsweise bereits vor dem Versand einer E-Mail warnen, wenn ein Anhang sensible Daten enthält oder ein externer Empfänger ausgewählt wurde. In vielen Fällen ist dieser Hinweis wirksamer und weniger eingriffsintensiv als die spätere Auswertung eines personenbezogenen Protokolls.
Welche Rechtsgrundlage braucht ein DLP-System?
Für jede Verarbeitung personenbezogener Daten durch ein DLP-System muss eine Rechtsgrundlage bestehen. Regelmäßig kommt hierfür Art. 6 Abs. 1 lit. f DSGVO in Betracht. Das Unternehmen verfolgt dabei das berechtigte Interesse etwa am Schutz personenbezogener Daten, der IT-Infrastruktur, von Geschäftsgeheimnissen oder vertraulichen Kundeninformationen. Art. 6 Abs. 1 lit. b DSGVO dürfte in den meisten Fällen nicht einschlägig sein, da der Einsatz eines DLP-Systems für die Durchführung des Beschäftigungsverhältnisses regelmäßig nicht objektiv erforderlich ist.
Die Rechtsgrundlage legitimiert jedoch nicht jede Form der Überwachung. Unternehmen müssen prüfen, ob die jeweilige Verarbeitung erforderlich und verhältnismäßig ist. Konkret bedeutet dies, dass geprüft und dokumentiert werden muss, ob ein gleich wirksames, aber milderes Mittel zur Verfügung steht.
Besonders wichtig ist die Zweckbindung. Daten, die zur Abwehr eines Datenabflusses erhoben werden, dürfen nicht ohne Weiteres für andere Zwecke verwendet werden. Soll ein DLP-Protokoll auch in Compliance-Untersuchungen oder arbeitsrechtlichen Verfahren genutzt werden, muss dies rechtlich geprüft, transparent kommuniziert und organisatorisch klar geregelt sein.
Wie sollte ein DLP-System konfiguriert werden?
Die datenschutzkonforme Ausgestaltung entscheidet sich wesentlich in den Einstellungen des Systems. Unternehmen sollten DLP nicht als pauschales Überwachungsinstrument konfigurieren, sondern als abgestuftes Schutzsystem mit möglichst geringer Eingriffsintensität.
Eine sinnvolle Konfiguration orientiert sich an klar definierten Datenkategorien und Übertragungswegen. Statt sämtliche Dokumente zu analysieren, können beispielsweise nur eindeutig bestimmte Merkmale geprüft werden. Dazu gehören Personalnummern, Kreditkartendaten, vertrauliche Dokumentenklassifizierungen oder technische Fingerabdrücke geschützter Dateien.
Auch die Reaktion auf einen Treffer sollte abgestuft erfolgen. Ein mögliches Vorgehen ist:
- Das System zeigt zunächst einen Warnhinweis direkt bei der betroffenen Person an.
- Die Person kann den Vorgang abbrechen, anpassen oder gegebenenfalls begründen.
- Bei besonders sensiblen Daten wird die Übertragung blockiert.
- Sicherheitsverantwortliche prüfen nur qualifizierte oder wiederholte Alarme.
- Eine Zuordnung zu einzelnen Beschäftigten erfolgt erst bei dokumentiertem Anlass.
- Führungskräfte oder die Personalabteilung werden nur nach einer fachlichen und rechtlichen Prüfung einbezogen.
Dieses Vorgehen reduziert den Überwachungsdruck und stärkt den präventiven Charakter von DLP. Ein Alarm ist zunächst ein technischer Hinweis, kein Nachweis für ein Fehlverhalten.
Besondere Vorsicht ist geboten, wenn das System automatisierte Folgen auslöst. Wird etwa ein Benutzerkonto gesperrt, ein Zugang entzogen oder eine negative Risikoeinstufung erstellt, können die Anforderungen aus Art. 22 DSGVO relevant werden. Erforderlich ist eine echte menschliche Prüfung, die den Sachverhalt, die Fehleranfälligkeit des Systems und die Perspektive der betroffenen Person einbezieht.
Welche weiteren Pflichten bestehen beim DLP-Betrieb?
Eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO ist regelmäßig erforderlich, da DLP-Systeme in erheblichem Umfang Beschäftigtendaten verarbeiten, die zur Bewertung der Arbeitsleistung oder des Arbeitsverhaltens herangezogen werden können. Der Einsatz von DLP-Systemen, mit denen systematische Profile von Beschäftigten erstellt werden, ist in der DSK-Liste der Verarbeitungsvorgänge ausdrücklich als Fall aufgeführt, in dem eine DSFA durchzuführen ist.
Besteht ein Betriebsrat, ist auch dessen Mitbestimmungsrecht nach § 87 Abs. 1 Nr. 6 BetrVG zu beachten. Eine Betriebsvereinbarung kann wichtige Schutzvorkehrungen verbindlich festlegen, darunter:
- Zweck und zulässiger Umfang des DLP-Betriebs
- überwachte Datenquellen und Kommunikationskanäle
- Rollen, Berechtigungen und Zugriffsbeschränkungen
- Eskalationswege bei Sicherheitsalarmen
- Speicherfristen und Löschkonzepte
- Umgang mit Fehlalarmen und Ausnahmen
- Voraussetzungen für eine Verwendung in Personalverfahren
Transparenz gegenüber Beschäftigten ist ebenfalls unverzichtbar. Die Datenschutzinformation nach Art. 13 oder Art. 14 DSGVO sollte verständlich erklären, welche Daten verarbeitet werden, wann ein Alarm ausgelöst wird, wer Zugriff erhält und wie lange Informationen gespeichert bleiben.
Nutzen Unternehmen externe Anbieter oder cloudbasierte DLP-Dienste, müssen sie außerdem die Auftragsverarbeitung prüfen. Handelt der Anbieter im Auftrag, ist grundsätzlich ein Vertrag nach Art. 28 DSGVO erforderlich. Bei Drittlandübermittlungen sind zusätzlich die Voraussetzungen der Art. 44 ff. DSGVO zu bewerten. Relevant sind insbesondere Zugriffsmöglichkeiten, Verschlüsselung, Schlüsselverwaltung und die Einbindung von Unterauftragnehmern.
Data Loss Prevention gezielt und verhältnismäßig einsetzen
Data Loss Prevention kann Datenschutz-Compliance wirksam unterstützen, wenn DLP gezielt, transparent und verhältnismäßig eingesetzt wird. Der Schwerpunkt sollte auf der Verhinderung von Datenabflüssen liegen, nicht auf einer umfassenden Kontrolle von Beschäftigten. Klare Zwecke, datensparsame Einstellungen, abgestufte Eskalationen sowie die frühzeitige Beteiligung von Datenschutz, Betriebsrat und IT-Sicherheit schaffen die Grundlage für einen belastbaren und verantwortungsvollen Einsatz.
